Was „ausfallsicher“ tatsächlich heißt
Nicht „fällt nie aus“, sondern: Der Ausfall eines einzelnen Teils führt nicht zum Ausfall des Dienstes. Der Unterschied ist der ganze Kurs.
„Ausfallsicher“ ist ein Wort, das in Angeboten steht und selten definiert wird. Für diesen Kurs gilt eine Fassung, die man messen kann:
Daraus folgt sofort, was es nicht heißt. Es heißt nicht „fällt nie aus“ — jeder Aufbau hat einen Ausfallpfad, man verschiebt ihn nur. Es heißt nicht „schneller“ — ein doppelter Aufbau ist eher langsamer, weil jede Anfrage einen Umweg über den Verteiler nimmt. Und es heißt vor allem nicht „sicher“ im Sinne von geschützt: Ein doppelter Aufbau hat doppelt so viele Maschinen, die angegriffen werden können.
Die Tabelle liest man von unten nach oben
Die übliche Leserichtung ist: „Wir hätten gern 99,99 %.“ Die nützliche ist umgekehrt. Fragen Sie zuerst, welche Ausfallzeit im Jahr Sie tatsächlich bemerken würden — und dann, welche Sie bezahlen würden.
| Aussage im Betrieb | Was sie in Zahlen bedeutet |
|---|---|
| „Ein halber Tag im Jahr ist verkraftbar.“ | 99,9 % — dafür genügt ein Server mit geübtem Wiederanlauf. Kein zweiter Server nötig. |
| „Eine Stunde Stillstand kostet uns 4.000 €.“ | Ab hier rechnet sich der doppelte Aufbau — der Kurs beginnt. |
| „Nachts darf niemand aufstehen müssen.“ | Das ist keine Verfügbarkeitsfrage, sondern eine Frage der Automatik: Umschalten ohne Mensch. |
| „Es darf nichts verlorengehen.“ | Das ist die Frage nach dem RPO — und die teuerste der drei. Nächste Phase. |
WarumWarum jede Neune ungefähr das Dreifache kostet
Der Grund liegt nicht in den Servern — die sind billig — sondern in der Zahl der Teile und der Zahl der Zustände, in denen sich der Aufbau befinden kann.
Ein Server hat zwei Zustände: läuft, läuft nicht. Zwei Server mit einem Verteiler haben schon acht sinnvolle Kombinationen, und die interessanten sind die, in denen ein Teil halb ausgefallen ist: Der Server antwortet, aber langsam. Die Datenbank nimmt Verbindungen an, aber schreibt nicht mehr. Das Netz zwischen beiden Servern ist weg, beide Server aber laufen.
Jeder dieser Zustände muss bedacht, gebaut und geprobt werden. Deshalb wächst der Aufwand nicht mit der Zahl der Maschinen, sondern ungefähr mit ihrem Quadrat — und deshalb ist die letzte Neune fast immer die, die man sich schenkt.